De aanvaller die wist in te breken op systemen van het Nederlandse bitcoinbedrijf Bitonic maakte misbruik van een kwetsbaarheid in de pdf-library die wordt gebruikt voor het verificatiesysteem. Dat heeft Bitonic vandaag via de eigen website bekendgemaakt. Via de kwetsbaarheid wist de aanvaller de accounts van vijf Bitonic-klanten over te nemen. Van drie klanten werd ook bitcoin gestolen. Bij elkaar ging het om een bedrag van zo'n tweehonderd euro, aldus een update over het beveiligingsincident.

Afgelopen maandag 26 oktober maakte Bitonic bekend dat zondagavond een aanvaller toegang tot systemen had gekregen. Nu blijkt dat een klant verdachte activiteit met zijn account had gezien en dit aan het bitcoinbedrijf rapporteerde. Daarop werd een onderzoek gestart en alle diensten offline gehaald. De oorzaak van de hack bleek te liggen in de pdf-uploadfunctie van het verificatiesysteem. Klanten van het bitcoinbedrijf kunnen voor hun verificatie via deze functie documenten uploaden.

De kwetsbaarheid waarvan de aanvaller misbruik maakte bevond zich in de library waarmee Bitonic pdf-bestanden verwerkt. Het beveiligingslek is inmiddels verholpen. Verdere details over deze kwetsbaarheid zijn niet gegeven. Verder bleek dat de aanvaller vijf accounts had overgenomen. Van drie klanten werd ook bitcoin gestolen. Deze klanten hebben de schade vergoed gekregen en zijn ook allemaal ingelicht.

Bitonic meldt dat het geen aanwijzingen heeft dat de persoonlijke informatie van andere klanten is gestolen. Het onderzoek is echter nog gaande en het bedrijf merkt op dat het nog niet kan uitsluiten dat er toch gegevens zijn buitgemaakt. Het incident is gemeld bij de Autoriteit Persoonsgegevens (AP) en de Autoriteit Financiële Markten (AFM).